<div dir="ltr">That's what I thought until I read the line:<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><span style="font-family:arial,sans-serif">This is regardless of MFA enrollment.  </span></blockquote><div><br></div><div>So he's claiming short-circuit even for those enrolled for MFA <br>[and presumably successfully using with (all) other SPs)]</div><div><br></div><div>David</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, Sep 17, 2019 at 9:22 AM Cantor, Scott <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On 9/17/19, 12:59 PM, "users on behalf of Jeffrey Williams" <<a href="mailto:users-bounces@shibboleth.net" target="_blank">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:jfwillia@uncg.edu" target="_blank">jfwillia@uncg.edu</a>> wrote:<br>
<br>
> We're currently running 3.3.3 using the native Duo plugin and the IDP has only one flow. It's scripted to check to see if<br>
> the user is enrolled in MFA before presenting authn/Duo.  <br>
<br>
Then the result is correct. It presumably checked, they weren't enrolled, so it didn't do MFA, and the result did not satisfy the request.<br>
<br>
> However, it seems that the IdP's authentication flow short-circuits after 1FA and sends an error back to the SP saying:<br>
<br>
You short-circuited it yourself, that's what "check to see if user is enrolled" would imply it's told to do.<br>
<br>
> I checked through the docs and didn't find anything that seemed to answer the question.  Is there a way to maintain<br>
> the single authentication flow and have it only authenticate MFA users for this SP?<br>
<br>
It seems like that's what it did. It refused to authenticate the non-MFA user(s).<br>
<br>
-- Scott<br>
<br>
<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>